PT-2026-37263
CVE-2026-42314
·
تاريخ النشر
2026-05-05
·
تاريخ التحديث
2026-05-15
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات pyLoad السابقة للإصدار 0.5.0b3.dev100
الوصف
يؤدي عدم كفاية عملية تنقية أسماء مجلدات الحزم إلى السماح بكتابة الملفات خارج دليل التنزيل المقصود. توجد هذه المشكلة في الدالة
add package() داخل المكون src/pyload/core/api/ init .py. تستخدم عملية التنقية استبدال السلاسل النصية الذي يمكن تجاوزه؛ وعلى وجه التحديد، يتم إزالة النمط ....// جزئيًا ليصبح .. ، مما يترك تسلسلات .. التي يقوم نظام التشغيل بحلها، مما يتيح اجتياز المسار. ويمكن استغلال هذه الثغرة عبر نقطة النهاية /api/set package data عن طريق التلاعب بالمتغير folder.التوصيات
قم بالتحديث إلى الإصدار 0.5.0b3.dev100 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾